Компания Coinhive допускает наличие пробелов в защите своего программного обеспечения, что привело к тому, что хакеры захватили скрипты для майнинга криптовалют, легально установленные на некоторых сайтах.
На этой неделе поставщик программного обеспечения для разработки цифровых валют заявил, что в понедельник, примерно в 10 часов вечера по всемирному времени, фирма получила сообщение от своего поставщика DNS Cloudflare, которая предупредила Coinhive, что её аккаунт был взломан злоумышленником.
Записи DNS coinhive.com были подтасованы для перенаправления запросов для директивы coinhive.min.js на сторонний сервер, содержащий модифицированную версию файла JavaScript со встроенным ключом сайта.
Coinhive Javascript встраивается пользователями на их веб-сайты в качестве способа майнинга криптовалюты Monero, однако злоумышленники смогли захватить этот скрипт, чтобы заработанные средства могли прийти в кошелёк, который будет контролироваться ими.
«Это, по сути, позволяет злоумышленнику украсть хэш-мощности пользователей», — говорит Coinhive.
Сценарий реализации криптовалютных майнеров на доменах веб-сайтов, является новой, хотя и противоречивой идеей.
Майнинг виртуальных валют рассматривается как альтернатива сторонней рекламе для получения дохода. Идея попала в центр внимания после того, как пользователи обнаружили такое же программное обеспечение, встроенное в код торрент-сайта Pirate Bay.
Из-за ошибки кодирования, пользователи заметили на сайте майнер, который требовал огромное количество мощности от процессоров посетителей – больше на 20-30 % чем обычно.
После ответной негативной реакции посетителей, Pirate Bay призналась, что тестировала майнер — как «способ избавиться от всей рекламы на сайте».
Другие вебсайты также начали изучать майнинг. Согласно отчёту Adguard, 2,2% из топ 100 000 веб-сайтов из списка Alexa теперь ведут майнинг с помощью пользовательских ПК, и лишь немногие просят предварительного разрешения.
Майнеры Coinhive в настоящее время пресекаются блокировщиками рекламы, однако сайты, использующие такое программное обеспечение для генерации денежных средств, скорее всего, встретят это с досадой.
